Barracuda Email Security Gateway: due falle corrette il 2/11 risultano sfruttate in attacchi reali.
CVE-2026-116606: bypass dell'autorizzazione senza login (serve l'Admin UI raggiungibile). CVE-2026-111560: command injection, anche su WAF, ADC, Message Archiver, WSG. In catena: root.
CISA KEV dal 10/11, scadenza FCEB 13/11. Nessun IOC pubblico.
Da fare: verificare la patch, togliere l'Admin UI da internet.
https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection